IPFIX: настройка источника

Данное руководство описывает процесс настройки сбора событий IPFIX и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой сбора событий в R-Vision SIEM убедитесь в выполнении следующих условий:

У получаемого R-Vision SIEM потока NetFlow данные должны быть структурированы в соответствии со стандартом Cisco.
Сетевая связность между устройством, передающим NetFlow и SIEM (или промежуточным syslog-сервером) обеспечена, а необходимые порты открыты.

Настройка IPFIX

Настройка IPFIX различается в зависимости от операционной системы сетевого оборудования: Cisco IOS XE, Cisco IOS XR, Cisco NX-OS и другие. Поэтому рекомендуется производить настройку в соответствии с эксплуатационной документацией производителя вашего оборудования.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM в карточке коллектора перейдите на вкладку Обогащение.
Добавьте таблицу обогащения netflow_tcp_flags.
Создайте новый конвейер в данном коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Netflow.
- Порт точки входа: введите значение в диапазоне 30000—32767.
- Протокол: выберите вариант UDP.

Добавьте на конвейер элемент VRL-трансформация со следующим содержимым:

main = .raw.netflow_packets[0].IPFix.sets[0].data.data_fields
if is_null(main) {
    . = .raw.netflow_packets[0].IPFix.sets[1].data.data_fields
} else {
    . = main
}

Соедините добавленный блок VRL-трансформации с точкой входа.

Добавьте на конвейер еще один элемент VRL-трансформация со следующим содержимым:

.raw = .
.id = uuid_v4()
.timestamp= %vector.ingest_timestamp
.tenantId = "${TENANT_ID}"
.collectorId = "${COLLECTOR_ID}"
.type = 0
.device_product = "ipfix"

Соедините второй блок VRL-трансформации с первым.
Добавьте на конвейер элемент Нормализатор с правилом NetFlow IPFix (10) (идентификатор правила: RV-N-302).
Соедините нормализатор со вторым блоком VRL-трансформации.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

cisco netflow ipfix pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события IPFIX.

Найти события IPFIX в хранилище можно по следующему фильтру:

normalization_rule_id = "RV-N-302"

cisco netflow ipfix storage

Была ли полезна эта страница?